Как выглядит логика простой системы авторизации с «выходом на всех устройствах»?

т.е. меня должно сразу выкинуть

UserID (логин+пасс) -> клиент(устройство) -> token

при очередном ЛЮБОМ запросе к серверу - да.
Можно сделать по аяксу раз в 10 секунд проверку сессии... чтобы выкидывало автоматом.

id   email       login       hash_pass(bcrypt от пароля)
1    ll@i.ru     vasya       s2rg22eg
2    ii@i.ru     petya       de45uymn

id  userid(=id из табл users)       type(0-session,1-account)           token                                            timestamp
1   1                               0                                   sessionToken	
2   1                               1                                   password_hash(accountToken)

function randomStr(length) {...}; // форм. случ. строки
$sessionToken = random(30); // В БД попадает в чистом виде
$accountToken = random(30); // В БД попадает password_hash($accountToken)

setcookie('token', $userID . ":" . $accountToken) // $userID здесь и далее просто порядковый номер из таблицы users (колонка ID)

$_SESSION['userID'] = $userID;
$_SESSION['session_token'] = $userID . ":" . $sessionToken . ":" . $accountToken;
$_SESSION['ip'] = $userIP; // текущий IP
$_SESSION['UA'] = $userUA; // текущий UserAgent

if (isset($_SESSION['session_token'])) {
    // делим составной токен на 3 части (через двоеточие) и раскидываем по переменным
    // $userIDfromSession, $sessionTokenFromSession, $accountTokenFromSession;
    if ($_SESSION['ip'] != $userIP && $_SESSION['UA'] != $userUA) {
        // заставляем авторизоваться (т.е. если сменился одновременно IP и UserAgent)
    }
    // достаём токены из БД через $userIDfromSession, получаем переменные: $sessionTokenFromBD, $accountTokenHashFromBD
    if ($sessionTokenFromSession == sessionTokenFromBD) { // проверка сессионного токена
        if (password_verify($accountTokenFromSession, $accountTokenHashFromBD)) { // проверка аккаунтского токена
            // успешно авторизован (тут правда ещё проверка на срок login_time)
        } else {
            // заставляем авторизоваться (если сменился аккаунтский токен: logout, сброс пароля и т.д.)
        }
    } else { // если сессионный не подходит
        // вот здесь я не знаю нужно ли пытаться восстановить авторизацию по аккаунтскому токену из той же сессии или
        // из куки, если он не подходит или просрочен, или вообще сразу заставить авторизоваться...
    }
} elseif(isset($_COOKIE['token'])) {
   if (password_verify($_COOKIE['token'], $accountTokenHashFromBD)) {
       // успешно авторизован (тут правда ещё проверка на срок login_time)
       // и заполняем сессионные данные
   }
} else {
    // заставлям авторизоваться
}

UPDATE `sessions` SET token=$NewHashaccountToken WHERE userid=$userID and type=1;